Bir kamu kurumu bizden ENS'ye uymamızı istiyor — bu nedir ve İspanya'da nasıl belgelenir?

Volkan A***geçen yıl·37 mesaj·23 B görüntülenme#ulusal güvenlik şeması #ispanya kamu ihalesi #bilgi güvenliği #ihale mevzuatı

Volkan A***Veteran

Görev: Dijital pazarlama uzmanı
Sektör: Ambalaj
Yapı: zincir mağaza
Katılım: Oca 2023
Mesaj: 191

geçen yıl#1

Madrid'de kamu kurumlarına ve yerel yönetimlere yönelik bulut tabanlı doküman yönetim çözümleri sunan 6 kişilik bi yazılım şirketiyiz. Geçtiğimiz hafta Endülüs bölgesinde açılan 140.000 EUR bütçeli bi dijital arşiv ihalesine teklif hazırlamaya başladık. neyse şartnamede teknik yeterlilik maddeleri arasında "Esquema Nacional de Seguridad (ENS) uyumu" açıkça şart koşulmuş ve teklif dosyasında buna dair resmi belge isteniyor.

Halihazırda ISO 27001 sertifikamız var, bu yüzden temel bilgi güvenliği süreçlerine yabancı değiliz... Ancak İspanya kamu pazarında ulusal güvenlik şeması gereksinimlerinin çok daha katı ve bürokratik olduğunu duyuyoruz... Şartnamede temel düzey mi (básico) orta mı (medio) yoksa yüksek mi (alto) gerektiği de net belirtilmemiş.

İspanya pazarında bu gereksinim tam olarak ne anlama geliyor? ISO 27001 belgemiz ihalede doğrudan geçerli sayılır mı yoksa sıfırdan bağımsız bi ENS denetimine girip akredite sertifika almamız şart mı? açıkçası bu süreci en hızlı ve maliyetsiz nasıl yönetiriz?

Orhan Ç***Uzman

Görev: Veri analisti
Sektör: Kimya
Yapı: aile şirketi
Katılım: Eki 2024
Mesaj: 15

geçen yılEn çok yardımcı olan#2

Kısa cevap: İspanyada ENS (Esquema Nacional de Seguridad), kamu kurumlarına ve kamuya teknoloji sağlayan özel şirketlere zorunlu tutulan ulusal güvenlik çerçevesidir. ISO 27001 belgeniz doğrudan ENS yerine geçmez; sisteminizin işlediği bilginin boyutuna göre temel orta veya yüksek seviyede resmi bi uygunluk belgesi almanız zorunludur.

ENS sistemi üç güvenlik seviyesine ayrılır: Temel (Básico) Orta (Medio) ve Yüksek (Alto). İhaleniz doğrudan kritik altyapı veya gizli nitelikli kişisel sağlık verisi içermiyorsa genelde temel veya orta seviye talep edilir. Eğer istenen düzey temel ise akredite dış denetim zorunlu değildir. Ulusal Kriptoloji Merkezi (CCN) kılavuzlarına göre kendi iç değerlendirmenizi yapıp resmi bir uygunluk beyanı (Declaración de Conformidad) yayımlamanız yeterlidir.

Eğer ihale orta veya yüksek düzey gerektiriyorsa ENAC akreditasyonuna sahip bağımsız bir belgelendirme kuruluşu tarafından denetlenmeniz ve resmi sertifika (Certificación de Conformidad) almanız şarttır. yani ıSO 27001 sahibi olmanız size büyük hız kazandırır çünkü ENS maddelerinin önemli bir kısmı ISO kontrolleriyle birebir örtüşür.

İlk adım olarak ihale makamına resmi soru ileterek ENS kategorisini netleştirin. Temel düzey ise iç çalışma ile 2-3 haftada beyan hazırlayabilirsiniz. valla orta düzey isteniyorsa akredite bi denetçiyle anlaşmanız gerekir; bu süreç ortalama 2 ile 4 ay sürer ve denetim masrafı genellikle 7.000 ile 14.000 EUR arasında değişir.

SinemUzman

Görev: Proje yöneticisi
Katılım: Eki 2023
Mesaj: 176

geçen yıl#3

Şartnamede seviye yazmıyorsa hemen ihale portalı üzerinden resmi açıklama (aclaración) isteyin. Eğer temel seviye derlerse dış denetçiye tek kuruş ödemeden CCN platformundaki standart kontrol listesini doldurup sisteminizi kayıt ettirebilirsiniz. Zaman kaybetmeden soruyu gönderin.

Doruk S***Yeni üyeTopluluk üyesi

Katılım: Ağu 2026
Mesaj: 278

geçen yıl#4

Geçen yıl Valencia'da 110.000 EUR değerinde bir kamu ihalesine girdik. Bizden ENS Medio istediler. ISO 27001 altyapımız hazırdı ama açıklarımızı kapatıp denetimden geçmemiz tam 3 ay sürdü. Akredite kuruluşa denetim için 8.500 EUR, danışmanlık desteğine de 4.000 EUR ödedik.

Özge Ç***Katılımcı

Görev: İdari işler sorumlusu
Sektör: Muhasebe ve müşavirlik
Yapı: 120 kişilik şirket
Katılım: Kas 2024
Mesaj: 2

geçen yıl#5

Teknik tarafta ISO'dan en büyük fark CCN-STIC rehberleridir. Veri şifreleme algoritmalarında sadece İspanya Ulusal Kriptoloji Merkezi'nin onayladığı standartları kullanmanız, olay bildirim mekanizmasını kamu bildirim platformuna entegre etmeniz ve iki faktörlü kimlik doğrulamayı tüm sistem yöneticilerine zorunlu kılmanız gerekir.

Yiğit Ç***KatılımcıTopluluk üyesi

Katılım: Mar 2025
Mesaj: 107

geçen yıl#6

"ISO belgemiz var, bunu dosyaya koysak idare kabul eder" yanılgısına kesinlikle düşmeyin. Kamu ihalelerinde ENS sertifikası veya beyanı sunmayan teklifler doğrudan idari kontrolde elenir, teknik zarfınız açılmaz bile.

Merve B***Yeni üyeTopluluk üyesi

Katılım: Ağu 2026
Mesaj: 247

geçen yıl#7

İlerlemeniz gereken yol haritası şudur: 1) İhale makamından ENS kategorisini yazılı olarak netleştirin. 2) CCN-STIC 800 serisi rehberleri indirip mevcut ISO altyapınızla fark analizini çıkarın. 3) Temel düzey ise iç beyan hazırlayın, orta düzey ise ENAC akreditasyonlu kuruluşlardan acil teklif toplayın.

Murat K***Katılımcı

Görev: SaaS geliştirici
Yapı: butik ajans
Katılım: Mar 2024
Mesaj: 118

Doki · Log yönetimi kurulumu · 2025

geçen yıl#8

ispanyol bürokrasisi bu konuda çok katı maalesef. biz de benzer bi belediye işinde temel seviye beyannıyla son anda kurtarmıştık, dış denetim yetişmeyecekti yoksa.

Furkan U***Katılımcı

Görev: İdari işler sorumlusu
Sektör: Enerji
Yapı: 40 kişilik üretim firması
Katılım: Tem 2025
Mesaj: 84

geçen yıl#9

Belirtmek gerekir ki 2022 yılında yayımlanan güncel Kraliyet Kararnamesi ile ENS gereksinimleri bulut sağlayıcıları için yeniden düzenlenmiştir. Altyapınızı barındırdığınız bulut sağlayıcısının da ENS sertifikasına sahip olduğunu teyit etmeniz denetim sürecini ciddi ölçüde kolaylaştıracaktır.